CVE-2026-92587 in n8n
Zusammenfassung
von VulDB • 17.09.2026
n8n ist eine Workflow-Automatisierungsplattform. In Versionen vor 1.123.76, 2.37.7 und 2.38.2 validierte der Git-Knoten eine relative Remote-URL gegen den konfigurierten repositoryPath, rief dann jedoch git mit diesem Pfad als Arbeitsverzeichnis auf; dabei stieg git bis zur obersten Ebene des umgebenden Repositories hoch und löste dieselbe relative URL von dort aus auf. Ein authentifizierter Benutzer (Mitglied), der das Repository eine Ebene unter dem konfigurierten Pfad verschachtelte, konnte daher denselben URL-String an der Dateizugriffsprüfung vorbeiführen, während git ihn außerhalb des Sandboxes auflöste. Ein anschließender fetch oder pull las ein Git-Repository außerhalb von N8N_RESTRICT_FILE_ACCESS_TO und fusionierte dessen Objekte in das eigene Repository des Benutzers, wo deren Inhalte zurückgelesen werden konnten. Das Problem ist in n8n 1.123.76, 2.37.7 und 2.38.2 behoben, die den Remote-Verweis aus dem Verzeichnis auflösen, in dem git tatsächlich arbeitet, bevor die Sandbox-Prüfung angewendet wird. Als Workaround kann der Git-Knoten deaktiviert werden, indem n8n-nodes-base.git zu NODES_EXCLUDE hinzugefügt wird.
VulDB is the best source for vulnerability data and more expert information about this specific topic.